Vu les procédures suivantes :
Par une requête et deux nouveaux mémoires, enregistrés les 21 juin 2023, 25 juillet et 10 septembre 2024 au secrétariat du contentieux du Conseil d'Etat, l'association Interhop, l'association Constances, le Syndicat de la médecine générale, la Fédération Sud Santé Sociaux, la Ligue des droits de l'Homme et l'association Aides demandent au Conseil d'Etat :
1°) d'annuler pour excès de pouvoir la décision implicite par laquelle le ministre des solidarités et de la santé a refusé de prendre les mesures propres à éliminer la violation du règlement général sur la protection des données (RGPD) résultant de l'hébergement des données de la Plateforme des données de santé par la société Microsoft ;
2°) d'enjoindre à la ministre d'adopter, dans les plus brefs délais, toute mesure de nature à éliminer le risque d'une telle violation ;
3°) à titre subsidiaire, de renvoyer à la Cour de justice de l'Union européenne une question préjudicielle relative à l'appréciation de la validité de la décision d'exécution (UE) 2023/1795 de la Commission européenne du 10 juillet 2023 constatant, conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil, le niveau de protection adéquat des données à caractère personnel assuré par le cadre de protection des données UE - États-Unis ;
4°) de mettre à la charge de l'État la somme de 2 500 euros au titre de l'article L. 761-1 du code de justice administrative.
Vu les autres pièces du dossier ;
Vu :
- le traité sur le fonctionnement de l'Union européenne ;
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, dit règlement général sur la protection des données (RGPD) ;
- la décision d'exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 ;
- le code de la santé publique ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de M. Bruno Delsol, conseiller d'Etat,
- les conclusions de Mme Esther de Moustier, rapporteure publique ;
Considérant ce qui suit :
1. Il ressort des pièces du dossier que le groupement d'intérêt public (GIP) Plateforme des données de santé a conclu avec la société Microsoft Ireland Operations Ltd un contrat relatif à l'hébergement des données de santé du système national des données de santé. L'association Interhop et autres ont demandé au ministre des solidarités et de la santé de prendre des mesures propres à éliminer la violation du RGPD résultant du recours, par le GIP Plateforme des données de santé, à la société Microsoft Ireland Operations Ltd en tant que sous-traitant, à raison des risques d'accès, par les autorités d'un Etat tiers, aux données de santé hébergées par cette société.
2. En premier lieu, si les requérants excipent de l'illégalité de la décision d'exécution de la Commission européenne du 10 juillet 2023 constatant, conformément au RGPD, et notamment à l'alinéa 3 de son article 45, le niveau de protection adéquat des données à caractère personnel assuré par le cadre de protection des données UE - États-Unis (" la décision d'adéquation "), la circonstance que les Etats-Unis constituent un pays offrant un niveau de protection adéquat au sens du RGPD est sans incidence sur la légalité de la décision de refus implicite opposée à leur demande. Par suite, et sans qu'il soit besoin de se prononcer sur le caractère sérieux de la difficulté soulevée, il n'y a pas lieu de saisir à titre préjudiciel la Cour de justice de l'Union européenne d'une question relative à la validité de la décision d'adéquation ou portant sur la compatibilité du droit des Etats-Unis avec les exigences du droit de l'Union sur la protection des données personnelles.
3. En deuxième lieu, le moyen tiré du défaut de motivation de la décision attaquée, dont aucune disposition légale ou réglementaire n'impose la motivation, est inopérant et ne peut, par suite, qu'être écarté.
4. En troisième lieu, si les requérants invoquent l'illégalité du refus du ministre de mettre fin à la violation du RGPD résultant du risque d'accès à des données sensibles par les autorités d'un pays tiers, ce moyen, qui ne porte sur aucune disposition précise de ce règlement ni ne démontre dans quelle mesure la décision de refus du ministre a pu y porter atteinte, n'est pas assorti des précisions permettant d'en apprécier le bien-fondé. Par ailleurs et en tout état de cause, il ressort des pièces du dossier que le contrat d'hébergement conclu entre le GIP et la société Microsoft Ireland Operations Ltd cité au point 1 n'a pas reçu d'exécution.
5. En dernier lieu, si les requérants demandent l'annulation de la décision de refus qu'aurait opposée le ministre de la santé à leur demande de changement de sous-traitant pour l'hébergement des données de santé, il ne relève, en tout état de cause, pas de la compétence de la ministre de la santé et de l'accès aux soins, qui n'est pas la partie contractante, de modifier le contrat cité au point 1.
6. Il résulte de tout ce qui précède que, sans qu'il soit besoin de saisir la Cour de justice de l'Union européenne d'une question préjudicielle, la requête de l'association Interhop et autres doit être rejetée, y compris leurs conclusions présentées sur le fondement de l'article L. 761-1 du code de justice administrative.
D E C I D E :
--------------
Article 1er : La requête de l'association Interhop et autres est rejetée.
Article 2 : La présente décision sera notifiée à l'association Interhop, première requérante dénommée, pour l'ensemble des requérants, et à la ministre de la santé et de l'accès aux soins.
Délibéré à l'issue de la séance du 10 octobre 2024 où siégeaient : Mme Rozen Noguellou, conseillère d'Etat, présidant ; M. Olivier Yeznikian, conseiller d'Etat et M. Bruno Delsol, conseiller d'Etat-rapporteur.
Rendu le 13 novembre 2024.
La présidente :
Signé : Mme Rozen Noguellou
Le rapporteur :
Signé : M. Bruno Delsol
La secrétaire :
Signé : Mme Sylvie Leporcq
